Nätverksslutpunkter för Microsoft Intune

Den här artikeln innehåller IP-adresser och portinställningar som krävs för proxyinställningar i dina Microsoft Intune-distributioner.

Som en molnbaserad tjänst kräver Intune inte någon lokal infrastruktur, till exempel servrar eller gatewayer.

Åtkomst för hanterade enheter

Om du vill hantera enheter bakom brandväggar och proxyservrar måste du aktivera kommunikation för Intune.

• Slutpunkterna i den här artikeln ger åtkomst till de portar som identifieras i följande tabeller.

• För vissa uppgifter kräver Intune oautentiserad proxyserveråtkomst till manage.microsoft.com, *.azureedge.net och graph.microsoft.com.

  Obs!

  SSL-trafikgranskning stöds inte för slutpunkterna *.manage.microsoft.com, *.dm.microsoft.com eller enhetshälsoattestering (DHA) som anges i avsnittet efterlevnad.

Du kan ändra proxyserverinställningarna på enskilda klientdatorer. Du kan också använda grupprincip inställningar för att ändra inställningarna för alla klientdatorer som finns bakom en angiven proxyserver.

Hanterade enheter kräver konfigurationer som gör att alla användare kan komma åt tjänster via brandväggar.

PowerShell-skript

För att göra det enklare att konfigurera tjänster via brandväggar registrerade vi med tjänsten Office 365 Endpoint. För närvarande används Intune slutpunktsinformation via ett PowerShell-skript. Det finns andra beroende tjänster för Intune som redan omfattas som en del av Microsoft 365-tjänsten och som är markerade som "nödvändiga". Tjänster som redan omfattas av Microsoft 365 ingår inte i skriptet för att undvika duplicering.

Med hjälp av följande PowerShell-skript kan du hämta listan över IP-adresser för Intune-tjänsten.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.ips} | select -unique -ExpandProperty ips

Med hjälp av följande PowerShell-skript kan du hämta listan över FQDN:er som används av Intune och beroende tjänster. När du kör skriptet kan URL:erna i skriptets utdata skilja sig från URL:erna i följande tabeller. Se minst till att du inkluderar URL:erna i tabellerna.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.urls} | select -unique -ExpandProperty urls

Skriptet är en praktisk metod för att lista och granska alla tjänster som krävs av Intune och Autopilot på en plats. Ytterligare egenskaper kan returneras från slutpunktstjänsten, till exempel kategoriegenskapen, som anger om FQDN eller IP ska konfigureras som Tillåt, Optimera eller Standard.

Slutpunkter

Du behöver även FQDN som omfattas av Microsoft 365-kraven. Som referens visar följande tabeller den tjänst de är knutna till och listan över URL:er returneras.

De datakolumner som visas i tabellerna är:

• ID: Raden för ID-numret, som även kallas för en slutpunktsuppsättning. Detta ID är samma som returneras av webbtjänsten för slutpunktsuppsättningen.

• Kategori: Visar om slutpunktsuppsättningen kategoriseras som Optimera, Tillåt eller Standard. I den här kolumnen visas även vilka slutpunktsuppsättningar som krävs för nätverksanslutningar. För slutpunktsuppsättningar som inte är nödvändiga för att ha nätverksanslutning tillhandahåller vi anteckningar i det här fältet för att ange vilka funktioner som skulle saknas om slutpunktsuppsättningen är blockerad. Om du undantar ett helt tjänstområde kräver inte slutpunktsuppsättningarna som anges som krav anslutning.

  Du kan läsa om de här kategorierna och vägledningen för deras hantering i Nya Microsoft 365-slutpunktskategorier.

• ER: Det här är Ja/Sant om slutpunktsuppsättningen stöds via Azure ExpressRoute med Vägprefix för Microsoft 365. BGP-communityn som innehåller de väg-prefix som visas är justeras med tjänstområdet som visas. När ER är Nej/Falskt stöds inte ExpressRoute för den här slutpunktsuppsättningen.

• Adresser: listar FQDN-namn eller domännamn med jokertecken och IP-adressintervall för slutpunktsuppsättningen. Observera att ett IP-adressintervall är i CIDR-format och kan innehålla många enskilda IP-adresser i det angivna nätverket.

• Portar: Listar de TCP-eller UDP-portar som kombineras med ip-adresser i listan för att skapa nätverksslutpunkten. Du märker kanske att det finns dubbletter i IP-adressintervall där olika portar finns med i listan.

Intune kärntjänst

Autopilot-beroenden

Fjärrassistans

Intune beroenden

I det här avsnittet visar följande tabeller de Intune beroenden och portar och tjänster som Intune klientåtkomst till.

• Windows Push Notification Services-beroenden
• Beroenden för leveransoptimering
• Apple-beroenden
• Android AOSP-beroenden

WNS-beroenden (Windows Push Notification Services)

För Intune hanterade Windows-enheter som hanteras med mobile Enhetshantering (MDM) kräver enhetsåtgärder och andra omedelbara aktiviteter användning av Windows Push Notification Services (WNS). Mer information finns i Tillåta Windows-meddelandetrafik via företagsbrandväggar.

Beroenden för leveransoptimering

Portkrav – För peer-to-peer-trafik använder leveransoptimering 7680 för TCP/IP. Den använder Teredo på port 3544 för NAT-bläddering (användning av Teredo är valfritt) För klienttjänstkommunikation använder den HTTP eller HTTPS via port 80/443.

Proxykrav – Om du vill använda leveransoptimering måste du tillåta byteintervallbegäranden. Mer information finns i Proxykrav för Windows Update.

Brandväggskrav – Tillåt följande värdnamn via brandväggen för att stödja leveransoptimering. För kommunikation mellan klienter och molntjänsten Leveransoptimering:

• *.do.dsp.mp.microsoft.com

För metadata för leveransoptimering:

• *.dl.delivery.mp.microsoft.com

Apple-beroenden

Mer information finns i följande resurser:

• Använda Apple-produkter i företagsnätverk
• TCP- och UDP-portar som används av Apple-programvaruprodukter
• Om macOS-, iOS/iPadOS- och iTunes-servervärdanslutningar och iTunes-bakgrundsprocesser
• Om dina macOS- och iOS/iPadOS-klienter inte får Apple-push-meddelanden

Android AOSP-beroenden

Android-portinformation – Beroende på hur du väljer att hantera Android-enheter kan du behöva öppna Google Android Enterprise-portarna och/eller Android-push-meddelandet. Mer information om vilka Android-hanteringsmetoder som stöds finns i dokumentationen för Android-registrering.

Android Enterprise-beroenden

Google Android Enterprise – Google tillhandahåller dokumentation om nödvändiga nätverksportar och målvärdnamn i sin Android Enterprise Bluebook, under avsnittet Brandvägg i dokumentet.

Push-meddelande för Android – Intune använder Google Firebase Cloud Messaging (FCM) för push-meddelanden för att utlösa enhetsåtgärder och incheckningar. Detta krävs av både Android-enhetsadministratör och Android Enterprise. Information om FCM-nätverkskrav finns i Googles FCM-portar och din brandvägg.

Autentiseringsberoenden

Mer information finns i Office 365 URL:er och IP-adressintervall.

Nätverkskrav för PowerShell-skript och Win32-appar

Om du använder Intune för att distribuera PowerShell-skript eller Win32-appar måste du också bevilja åtkomst till slutpunkter där din klient för närvarande finns.

Om du vill hitta din klientplats (eller Azure Scale Unit (ASU) loggar du in på administrationscentret för Microsoft Intune och väljer KlientadministrationSinformation för klientorganisation>. Platsen är under Klientorganisationsplats som något som liknar Nordamerika 0501 eller Europa 0202. Leta efter matchande nummer i följande tabell. Den raden anger vilket lagringsnamn och CDN-slutpunkter som du vill bevilja åtkomst till. Raderna särskiljs efter geografisk region, vilket anges av de två första bokstäverna i namnen (na = Nordamerika, eu = Europa, ap = Asien och stillahavsområdet). Din klientplats är en av dessa tre regioner, även om organisationens faktiska geografiska plats kan finnas någon annanstans.

Microsoft Store

Hanterade Windows-enheter som använder Microsoft Store – antingen för att hämta, installera eller uppdatera appar – behöver åtkomst till dessa slutpunkter.

Microsoft Store API (AppInstallManager):

• displaycatalog.mp.microsoft.com
• purchase.md.mp.microsoft.com
• licensing.mp.microsoft.com
• storeedgefd.dsx.mp.microsoft.com

Windows Update Agent:

Mer information finns i följande resurser:

• Hantera anslutningsslutpunkter för Windows 11 Enterprise
• Hantera anslutningsslutpunkter för Windows 10 Enterprise version 21H2

Nedladdning av Win32-innehåll:

Nedladdningsplatser och slutpunkter för Win32-innehåll är unika per program och tillhandahålls av den externa utgivaren. Du hittar platsen för varje Win32 Store-app med hjälp av följande kommando i ett testsystem (du kan hämta [PackageId] för en Store-app genom att referera till egenskapen Paketidentifierare för appen när du har lagt till den i Microsoft Intune):

winget show [PackageId]

Egenskapen Installer URL visar antingen den externa nedladdningsplatsen eller den regionbaserade (Microsoft-värdbaserade) återställningscachen baserat på om cachen används. Observera att platsen för nedladdning av innehåll kan ändras mellan cacheminnet och den externa platsen.

Microsoft-värdbaserad Win32-appåterställningscache:

• Varierar beroende på region, exempel: sparkcdneus2.azureedge.net, sparkcdnwus2.azureedge.net

Leveransoptimering (valfritt, krävs för peering):

Mer information finns i följande resurs:

• Microsoft Connected Cache-slutpunkter för innehåll och tjänster

Migrera efterlevnadsprinciper för enhetshälsoattestering till Microsoft Azure-attestering

Om en kund aktiverar någon av Windows 10/11 Efterlevnadsprincip – Inställningar för enhetshälsa börjar Windows 11 enheter använda en Microsoft Azure Attestation-tjänst (MAA) baserat på deras Intune klientplats. Men Windows 10- och GCCH-/DOD-miljöer fortsätter att använda den befintliga slutpunkten för hälsoattestering av hälsoattestering för hälsoattestering för enhet "has.spserv.microsoft.com" för attestering av enhetens hälsotillstånd och påverkas inte av den här ändringen.

Om en kund har brandväggsprinciper som förhindrar åtkomst till den nya Intune MAA-tjänsten för Windows 11, kommer Windows 11 enheter med tilldelade efterlevnadsprinciper med någon av enhetens hälsoinställningar (BitLocker, Säker start, Kodintegritet) att sluta uppfylla efterlevnaden eftersom de inte kan nå MAA-attesteringsslutpunkterna för deras plats.

Se till att det inte finns några brandväggsregler som blockerar utgående HTTPS/443-trafik och att SSL-trafikgranskning inte är på plats för slutpunkterna som anges i det här avsnittet, baserat på din Intune klientorganisationens plats.

Om du vill hitta din klientplats navigerar du till Intune administrationscenter > För klientorganisation>klientorganisationsstatus>Information om klientorganisation, se Klientplats.

Distributionstjänst för Windows Update för företag

Mer information om de slutpunkter som krävs för distributionstjänsten Windows Update för företag finns i Windows Update för affärsdistributionstjänstens krav.

Slutpunktsanalys

Mer information om de slutpunkter som krävs för slutpunktsanalys finns i Proxykonfiguration för slutpunktsanalys.

Microsoft Defender för Endpoint

Mer information om hur du konfigurerar Defender för Endpoint-anslutning finns i Anslutningskrav.

Om du vill ha stöd för hantering av säkerhetsinställningar för Defender för Endpoint tillåter du följande värdnamn via brandväggen. För kommunikation mellan klienter och molntjänsten:

• *.dm.microsoft.com – Användningen av jokertecken stöder molntjänstslutpunkter som används för registrering, incheckning och rapportering och som kan ändras när tjänsten skalar.

  Viktigt

  SSL-inspektion stöds inte på slutpunkter som krävs för Microsoft Defender för Endpoint.

Microsoft Intune hantering av slutpunktsprivilegier

Tillåt följande värdnamn på tcp-port 443 via brandväggen för att stödja Endpoint Privilege Management

För kommunikation mellan klienter och molntjänsten:

• *.dm.microsoft.com – Användningen av jokertecken stöder molntjänstslutpunkter som används för registrering, incheckning och rapportering och som kan ändras när tjänsten skalar.

• *.events.data.microsoft.com – används av Intune hanterade enheter för att skicka valfria rapporteringsdata till slutpunkten för Intune datainsamling.

  Viktigt

  SSL-inspektion stöds inte på slutpunkter som krävs för Hantering av slutpunktsprivilegier.

Mer information finns i Översikt över Hantering av slutpunktsprivilegier.

Relaterade ämnen

URL-adresser och IP-adressintervall för Office 365

Översikt över Nätverksanslutning för Microsoft 365

Nätverk för innehållsleverans (CDN)

Andra slutpunkter ingår inte i Office 365 IP-adress och URL-webbtjänst

Hantera Office 365-slutpunkter